根據外媒arstechnica援引安全機構crowdstrike的報道稱，流行的大多數虛擬化平臺存在VENOM(毒液)漏洞，該漏洞存在于虛擬主機中的模擬軟驅中，使用該漏洞能讓攻擊者越過虛擬化技術的限制，訪問并監視控制宿主機，并通過宿主機的權限來訪問控制其他虛擬主機。

目前，已知的XEN、KVM、QEMU受此漏洞的影響，而VMWare和Hyper-V不受影響。目前，包括Ubuntu、RedHat、XEN、QEMU以及Lionde等已經提供修復補丁或者發布安全通告。

毒液漏洞

安全機構表示，該漏洞由crowdstrike的高級技術員Jason Geffner在檢查虛擬化平臺安全性時發現的，漏洞自2004年模擬軟驅代碼首次添加到QEMU的代碼庫中就已經存在，時間長達11年之久。漏洞主要是由于模擬軟驅代碼中的一個問題導致的，雖然軟驅早已經過時，但這些虛擬化技術在虛擬機創建時默認添加了軟盤驅動器，就算軟驅被移除或者禁用，該漏洞還是可以被利用。此外，和以前發現的虛擬平臺漏洞或者bug不同，以前的只能應用于虛擬機，這次的漏洞可以越過虛擬化平臺的限制，直接控制宿主機，危害比較嚴重。

Errata Security的安全技術員在博客中針對此漏洞稱，這是一個完美的bug，一旦控制宿主機，利用宿主機強大的性能，可以進行比特幣挖礦、密碼暴力破解、或者獲取宿主機所有的虛擬機上的RSA私匙、數據庫等。危害相當嚴重，難以想象這個存在11年的漏洞如果被類似NSA的機構發現會是一種什么情況。

編譯自：arstechnica